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TPI4.FRD 

Dispositif de contrdle s6curis6 de commutation de donnees 

L' invention concerne le domaine de la commutation de trames 
(ou cellules) de donnees, et plus particulierement les dispo- 
sitifs de contrSle pour commutateur numerique multivoies. 

Le mot "trame" doit etre ici entendu dans sa definition la 
plus large f dans la mesure oil il designe tous les types de 
messages formes d'une multiplicity de champs ordonnes selon 
des formats predetermines . De m§me, le mot "donnee" doit §tre 
entendu dans sa definition la plus large, dans la mesure oil 
il designe toutes les informations contenues dans un message, 
y compris les informations concernant l'emetteur du message 
(ou source), le (ou les) destinataire(s) de ce message, ou 
encore le type de ce message* 

De tels commutateurs comprennent classiguement des circuits 
de liaison physique, generalement appeies "couche physique", 
lies St un milieu de transmission qui definit des ports de 
communication source (ou d' entree) et/ou des ports de 
communication destinataire (ou de sortie) auxquels sont 
raccordes des materiels inf ormatiques (ou equipements) . lis 
comprennent egalement une unite de traitement, generalement 
appeiee "couche logique" , et une interface de connexion entre 
1 'unite de traitement et les circuits de liaison, pour chacun 
des ports, seiectivement • L' unite de traitement assure la 
commutation numerique de trames de donnees multichamps entre 
les differents ports, c* est-&-dire entre un port source et au 
30 moins un port destinataire. 

Ces commutateurs font done partie d'une installation de 
communication dans laquelle des liens physiques independants 
permettent un partage des donnees (ou informations) selon un 
35 mode dit "segmente" et non pas "diffuse" . 

Pour assurer le bon fonctionnement d'une telle installation, 
les donnees regues par un (ou des) equipement ( s ) destina- 
taire(s) (que 1'on assimilera dans ce qui suit au port de 
40 GommunicatAon-destA 
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ch6 M ) doivent etre sensiblement identiques & celles emises 
par 1 ' equipement source (que l'on assimilera dans ce qui suit 
au port de communication source ou d'entr6e auquel il est 
"rattachiS" ) 7 

Or, du fait de la complexity des differentes liaisons , de la 
nature meme des milieux de transmission, et des conditions 
dans lesquelles s'effectuent les ^changes de trames, il 
arrive frequemment que certaines trames soient alterees 
pendant leur trans fert de 1' equipement source vers l'6quipe- 
ment destinataire . Ceci est plus particuliferement le cas des 
commutateurs du type dit "COTS" qui sont tr£s largement 
utilises dans 1 ' inf ormatique et les telecommunications , du 
fait, notamment, de leur faible cout et du format quasiment 
universel des trames. 

Cet inconvenient rend les commutateurs du type precite 
dif f icilement utilisables, voire m§me inutilisables, dans 
certains domaines d' application oil la securisation des 
donn€es revet une grande importance. C'est par exemple le cas 
en avionique pour ce qui concerne la gestion et la commande 
du vol. 

De plus, il est important que les situations de panne et/ou 
les ecarts de fonctionnement soient traites. 

La pr6sente invention a done pour but de procurer un disposi- 
trif~~de~ contr6re~pour-coinmutate 

h ameiiorer la situation presentee ci-avant, notamment en 
matiere de security. 

Elle propose & cet effet un dispositif du type de celui 
deer it en introduction, dans lequel on prevoit un module 
sonde couple seiectivement ci 1' interface de connexion, et un 
module de surveillance capable d' analyser le contenu d'une 
partie au moins de toute trame (ou cellule) de donnees vue 
par le module sonde, et de generer un signal d'alerte lorsque 
la partie analys6e ne remplit pas une condition choisie. 
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II est ainsi possible d'acceder, de fagon non intrusive et 
selective , et sur chacun des ports sous surveillance (pas 
forcement tous), h tout ou partie de chaque trame en cours 
d'aiguillage dans le commutateur, de maniere Si contrdler la 
coherence du contenu de cette trame. 

Dans un mode de realisation actuellement prefere, le module 
de surveillance est congu de manifere h declencher h l'aide du 
signal d'alerte le re jet par 1' unite de traitement de la 
trame vue par le module sonde. De la sorte, toute trame 
presentant une incoherence , quel qu'en soit le type, est 
rejetee, en d'autres termes elle n'est pas presentee a la 
sortie du commutateur. 

Dans une variante de ce mode de realisation, le module de 
surveillance est congu de manidre h declencher lui m^me, avec 
le signal d'alerte, le re jet de la trame vue par le module 
sonde. Cela permet de gagner du temps. 

Dans une autre variante, le module de surveillance est congu 
de manidre h comptabiliser les signaux d'alerte associes h 
chaque port, et h declencher le re jet, soit par lui-m§me, 
soit par 1' unite de traitement, de la trame vue par le module 
sonde, lorsque le nombre de signaux d'alerte comptabilises 
pour un port est superieur h un seuil. 

En complement, le module de surveillance peut etre agence de 
manifere A comptabilise r ch aq ue re j et associe a chaq ue port 
sous surveillance, et h declencher -une invalidation de la 
liaison entre un port et les circuits de liaison lorsque le 
nombre de re jets comptabilises pour ce port est sup6rieur St 
un seuil. Bien entendu, une telle invalidation est de 
preference momentanee, de sorte qu'une fois le problfeme 
resolu sur le port defaillant, celui-ci puisse §tre de 
nouveau utilise en emission et/ou en reception (ou valide). 

L' invention s' applique tout particuliferement , bien que de 
fagon non limitative, aux commutateurs munis d' interfaces 




adaptSes aux formats standards de trames multichamps choisis 
parmi ETHERNET , ATM et HIGH SPEED - LINK. 

Par ailleurs, 1' invention concerne Sgalement les coinmutateurs 
5 6quip6s d'un dispositif de contrdle du type d£crit ci-avant, 
ainsi que les installations de communication qui comprennent 
un (ou plusieurs) commutateur (s) 6quip6(s) d'un tel disposi- 
tif. Elle s' applique tout particuliferement aux installations 
de communication utilis6es en avionique pour la gestion et la 
10 commande du vol. 

D'autres caract6ristiques et avantages de 1' invention 
apparaitront k l'examen de la description d6taill6e qui va 
suivre et des dessins annexes, sur lesquels— : 

15 

- la figure 1 illustre de fagon sch£matique, et simplifi£e, 
un commutateur 6quip6 d'un dispositif de contrdle selon 
1' invention; 

20 - la figure 2 d£taille sch£matiquement un dispositif de 
controle selon 1' invention; 

- la figure 3 est un schema illustrant une trame au format 
ETHERNET ; 

25 

- la figure 4 est un diagramme bloc illustrant un mode de 
traitement de trame au format ETHERNET; et 

- la figure 5 illustre de fag on sch6matique une installation 
30 iminie de deux commutateur s €quip£s d'un dispositif de 

contrdle selon 1' invention. 

Les dessins annexes comportent des elements de caractfere 
certain qu'il est difficile de d6finir compldtement par le 
35 texte. En consequence, ils pourront contribuer & la defini- 
tion de 1' invention. 
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L' invention concerne un dispositif de controle de messages, 
ou trames, ou encore cellules , en cours d'aiguillage dans un 
commutateur num^rique multivoies. 

5 Un tel commutateur est destine & recevoir des messages 6mis 
par des 6quipements (ou plus g6n6ralement des mat^riels 
informatiques) selon un format pr6d6termin6 en vue de les 
aiguiller vers un ou plusieurs autres 6quipements. L'6quipe- 
ment qui 6met un message est appel6 6quipement source, tandis 
10 que l'6quipement qui est le destinataire d'un message est 
appel6 6quipement destinataire. Bien entendu un m§me 6quipe- 
ment peut etre tour h tour, ou simultan^ment, source et 
destinataire. — 



15 Comme cela est illustr6 sur les figures 1 et 2, chaque 
6quipement E-i (ici i=l h 4) est reli6 au commutateur par le 
biais d'un milieu de transmission 1, qui peut Stre un cable 
ou une fibre optique, ou encore I'^ther lorsque les messages 
sont transmis par voie d'ondes. Ce milieu de transmission 

20 peut etre mono ou bi-directionnel. 

L'extr6mite du milieu de transmission 1, qui est oppos^e h 
l'6quipement E-i, est relive It des circuits de liaison 
physique 2, qui forment une interface physique ou couche 

25 physique. L'endroit oil s'effectue la liaison entre la couche 
physique 2 et les diff^rents milieux de transmission est 
classiquement appel6 port 3. Dans le commutateur, & chaque 

port 3 est associ^e une identification de p ort qui pourra 

§tre utilis6e-soit en tant qu'adresse locale de port source 

30 (ou d'entr^e), soit en tant qu'adresse locale de port 
destinataire (ou de sortie) selon que l'6quipement auquel est 
raccord6 ce port 6met le message (ou trame de donnSes) ou en 
est le destinataire. 

35 Sur la couche physique 2 (ou circuits de liaison physique), 
les ports 3 sont install6s en s6rie (voir figure 1). 

Dans un commutateur classique (c 'est-^-dire de la technique 
antSrieure) , l^iguiTlage d'une trame qui arrive au niveau 
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d'un port 3 de la couche physique 2 est effectu6 par une 
unit6 de traitement 4, qui est appel6e couche logique, ou 
encore interface logique de commutation. 

5 La couche logique 4 est li6e h la couche physique 2 par 
l'interm§diaire d'une interface de connexion 5. 

En fait, comme cela est illustr6 sur la figure 2, dans les 
commutateurs de type ETHERNET ou ATM, la couche physique 2 

10 comporte une multiplicity d'6metteurs/r6cepteurs 7-i compre- 
nant une entree analogique 8-i, une sortie analogique 9-i, 
une sortie num6rique 10-i et une entr6e num^rique 11-i. Dans 
l'exemple illustr6 sur la figure 2, le commutateur 6tant de 
type "4x4 M , la variable i prend les valeurs comprises entre 

15 1 et 4. 

Par ailleurs, dans ces commutateurs, l'unit6 de traitement 4 
(ou couche logique) est compos6e d'une multiplicity d'616- 
ments de commutation 12-i associ^s respect ivement h un 

20 6metteur/r6cepteur 7-i. I,' interface de connexion 5 peut done 
§tre subdivis^e en parties bi-directionnelles (5-i) permet- 
tant chacune de relier la sortie num^rique 10-i d'un 6met- 
teur/r6cepteur 7-i & 1 'entree num^rique 13-i d'un 616ment de 
commutation 12-i, et la sortie num^rique 14-i dudit 616ment 

25 de commutation 12-i k 1 'entree num6rique 11-i dudit 6met- 
teur/r6cepteur 7-i . 

Lea — dif f 6rents — 6 laments — de — commutation— 12-i — de — la— couche- 

logique 4 sont interconnects les uns aux autres, de sorte 

30 qu'& reception d'une trame sur l'entr^e num6rique 13-i de 
l'un d' entre eux, cette trame puisse etre transmise h un (ou 
plusieurs) autre(s) de ces 616ments de commutation 12-j, 
associ€(s) ci (ou aux) 1 '6metteur/r6cepteur 7-j qui alimen- 
te(nt) le (ou les) port(s) 3-j d6sign6(s) par 1 'interm6diaire 

35 du champ d'adresse destinataire contenu dans la trame h 
aiguiller. 

Les circuits de liaison physique 2 sont appel€s couche 
physique 2 du fait qu'ils regoivent des ports 3-i des 
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informations analogiques et transmettent h I'unitE de 
traitement 4 des informations num^riques, via 1' interface de 
connexion 5. L'unit6 de traitement 4 est appel6e couche 
logique du fait qu'elle regoit, traite et transmet des 
5 informations num^riques. 
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Les trames qui sont 6chang6es dans un tel commutateur 
pr6sentent un format particulier dit "multichamps" , du type 
de celui illustr6 sur la figure 3 (format ETHERNET). 



Une telle trame multichamps comporte, au moins, un champ de 
d6but de trame, un champ d'adresse destinataire, un champ 
J'.adresse^source et un champ de donn^es. Dans une installa- 
tion de communication, ces diff6rents champs sont tou jours 
15 ordonn6s de la meme manifere. 



Un certain nombre de formats standards utilisent des trames 
multichamps du type de celle dScrite ci-avant, avec ou sans 
champ(s) compl6mentaire ( s ) . On pourra citer, par exemple, les 
formats standards de type ETHERNET , ATM et HIGH SPEED-LINK 
(HS-LINK) . 

De nombreux fabricants commercial! sent des commutateurs 
capables de fonctionner selon les formats pr€cit€s. On peut 
citer, par exemple, les commutateurs ETHERNET des soci€t£s 
CISCO, 3COM, INTEL, IBM, HEWLETT PACKARD, D-LINK... Ces 
commutateurs 6tant trSs r^pandus sur le march6, il est 
inutile de les d6crire ici. Ceux qui appartiennent h la 

cat6gor_ie__dit_e . "COTS" _ (pour Commercial Of The Shelves", 

30 c'est ci dire "composant du commerce largement utilis6") 
pr^sentent l'avantage de traiter des trames dont le format 
est universellement utilise, contrairement h d'autres formats 
sp6cifiques tels que celui de la norme ARINC (429 ou 629). 

35 A titre d' exemple, on pourra utiliser une interface de 
connexion ETHERNET de type "medium independent interface" 
(Mil) ou de ses Evolutions telles que, par exemple, RMII 
(Reduce Mil), ou une interface de connexion ATM de type 

UTOPIA-; — 



20 



25 

• 
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Quel que soit le format de 1' installation de communication, 
une trame arrive par un port source 3-i, est transferee & 
l'6metteur/r€cepteur 7-i de la couche physique 2, emprunte la 
partie 5-i de 1' interface de connexion 5 qui est raccordee h 
5 l'6metteur/r6cepteur 7-i pour atteindre 1' element de commuta- 
tion 12-i de la couche logique 4. L&, son champ d'adresse 
destinataire est analyst de manifere k determiner le port 
destinataire 3-j correspondant . La trame est alors communi- 
qu6e & 1' 61€ment de commutation 12- j, puis h 1 # 6metteur/r6- 
10 cepteur 7-j via la partie 5-j de 1' interface de connexion, en 
vue de son Emission par le port 3-j. 

Comme cela a 6te indique dans 1' introduction, il arrive 
frequemment que des trames & aiguiller.soient alterees avant 
15 d'arriver au commutateuf, ou bien que le commutateur altfere 
des trames regues, pendant 1' aiguillage. 

L' invention ayant pour but d'ameiiorer la situation, elle 
propose k cet ef fet un dispositif de controle de la coherence 
20 des trames de donnees qui sont aiguiliees dans un commutateur 
numerique multivoies entre un port source et un ou plusieurs 
ports destinataires . 



Un tel dispositif comprend tout d'abord un module sonde 6 
25 capable d' observer h la vol€e sur 1' interface de connexion 5 A 

les trames de donnees qui transitent entre la couche physique ▼ 

2 et la couche logique 4. Dans ce qui suit, on qualifiera de 
— !^niontant_e^^ _ 

couche logique 4, et de "descendante" une transmission de la 
30 couche logique 4 vers la couche physique 2. 

La demanderesse s'est en effet apergue qu'il etait particu- 
liferement avantageux d' observer les trames montantes et/ou 
descendantes sur les differentes parties 5-i de 1' interface 
35 de connexion. Cela resulte du fait que les donnees qui circu- 
lent sur cette interface 5 sont numeriques et totalement 
representatives, car identiques, des informations des trames 
h commuter. 



Le module sonde 6 de 1' invention observe chaque partie 5-i de 
1' interface de connexion qui relie un 616ment de commutation 
12-i a un 6metteur/r6cepteur 7-i. Dans l'exemple illustr6 
cette observation s'effectue sur chaque partie montante 5-i M 
5 et sur chaque partie descendante 5-i D . Bien entendu, on 
pourrait effectuer des observations seulement sur une ou 
plusieurs parties mont antes ou bien seulement sur une ou 
plusieurs parties descendantes , ou bien encore sur certaines 
parties montantes et certaines parties descendantes. 

10 

II est ainsi possible d' observer select ivement les trames. 

-Dans- l'exemple de la figure 2, chaque partie montante 5-i M de 
1' interface de connexion est observ6e indSpendamment des 

15 autres parties montantes par un sous-module sonde 6-i M , et 
chaque partie descendante 5-i D de 1' interface de connexion est 
observ€e ind^pendamment des autres parties descendantes par 
un sous-module sonde 6-i D . Cela assure 1 ' ind^pendance des 
observations effectu€es sur la partie montante de celles 

20 effectuSes sur la partie descendante. Chaque sous-module 
sonde pourra §tre realise sous la forme d'une liaison. 

Chaque sous-module sonde 6-i M alimente un sous-module de 
surveillance montant 15-i M , et chaque sous-module sonde 6-i D 
25 alimente un sous-module de surveillance descendant 15-i D . 

Ces diff6rents sous-modules de surveillance 15-i forment 
e nsemble u n module de surveillance 15. Cependant, il est 

preferable ,~ mais- non -indispensable, -que les- sous-modules 

30 sonde 15-i M et 15-i D constituent physiquement un meme sous- 
module 15-i, dans la mesure oti ils gferent un meme port 3-i. 

Chaque sous-module de surveillance montant 15-i M et descendant 
15-i D est congu pour analyser au moins une partie d'un champ 
35 de la trame observ^e qui circule sur la partie de 1' interface 
de connexion 5 concern^e. En consequence, chaque sous-module 
de surveillance 15-i, montant ou descendant, est capable de 
reconnaitre parmi les champs qui lui sont transmis par le 
sous-module sonde 6-i associ^"Ie~champ ou les champs ~qu ' il~ 
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doit analyser. De preference , chaque sous -module de surveil- 
lance 15-i est configure (ou programme) de manifere & analyser 
successivement, c'est-&-dire au fur et h mesure de leur 
transfert d'un 6metteur/r6cepteur 7-i vers un element de 
5 commutation 12-i associe, ou reciproquement , plusieurs champs 
d'une meme trame, et notamment le champ d' adresse destinatai- 
re, le champ d' adresse source et le champ de type de trame. 

Les differents sous-modules de surveillance 15-i, qu'ils 
10 soient montants ou descendants, peuvent presenter des 
configurations differentes selon le type d'equipement dont 
ils surveillent la commutation de fagon selective. De la 
sorte, on constitue des modules de surveillance locaux ffc 
-adaptes aux besoins-de chaque port 3-i. - 

15 

La gestion de la configuration de chaque sous-module 15-i est 
effectuee, de preference, par une partie du dispositif selon 
1' invention coupiee au module de surveillance 15. Cette 
-partie, qui- — est — appeiee unite de controle 16, regoit et 
20 transmet des "informations" numeriques aux different s sous- 
modules de surveillance 15-i via une liaison 17 M (montante) 
ou 17 D ( descendante ) . 

Comme on le verra plus loin, 1 'unite de contrdle 16 assure de 
25 preference d'autres taches que la gestion de la configuration ^ 
des sous-modules. - 

Pour— decri-re— le— meean-isme— de— surveillance— ef^ectue— par — un 

dispositif de contrdle selon 1' invention, on se ref^re 
30 maintenant aux figures 3 et 4. 

Sur la figure 3 se trouve illustree une trame au format 
ETHERNET. Comme indique precedemment , elle comprend un champ 
de debut de trame, puis un champ d'adresse destinataire 
35 (egalement appeiee adresse MAC destinataire), puis un champ 
d'adresse source (egalement appeiee adresse MAC source), puis 
un champ de type de trame. Elle comporte ensuite un champ de 
donnees et un champ CRC (acronyme anglais de "Cyclic Redun- 
dancy Check) . 



Les champs d'une trame multichamps sont transmis les uns 
aprfes les autres, dans l'ordre indiqu6 ci-avant, lorsque la 
trame est transf6r6e de la couche physique 2 vers la couche 
logique 4, et r 6c iproquement . II 33± par consequent possible 
5 d' analyser le contenu d'au moins une partie d'un ou plusieurs 
champs qui se suivent pour verifier la coherence de la trame 
(ou cellule) . 

II est clair que les trames qui pr^sentent des formats 
diff6rents de celui d ' ETHERNET n'auront pas exactement la 
m§me configuration que celle illustr§e sur la figure 3. Par 
exemple, dans le format ATM, apr&s le d6but de trame, le 
premier champ est un champ appel6 "Virtual Path Identifier", 
le second champ est un champ appeie "Virtual Channel Identi- 
fier", le troisifeme champ est un champ appeie "Pay load Type", 
On trouve ensuite un champ de priority et de contrdle, et un 
champ de donn^es. 

rT'une f agon plus g£ri£rale7 line ™trame~~peut " comporteF au moins 
20 un ou plusieurs champs dits physiques, qui d€signent un ou 
plusieurs "canaux" physiques tels qu'un port source ou un 
port destinataire, un ou plusieurs champs dits logiques, qui 
d^signent un ou plusieurs "canaux" logiques tels qu'un flux, 
et un champ de donn€es. 

25 

Comme cela est illustr^ sur la figure 4, dans le cas d'une 
trame au format ETHERNET en cours de transfert de l'6met- 
teur/r^cepteur 7-1. vers 1 'Pigment de commutation associ6 12- 
1, la partie montante 6-l M du module sonde, qui est relive & 

30 la partie montante 5-l M de 1' interface de connexion, transmet, 
d&s qu'elle 1' observe, le champ de d£but de trame au sous- 
module de surveillance 15-1 M . Ce sous-module est ainsi averti 
qu'il va devoir analyser une trame de donn€es montante'. Cela 
constitue l'6tape 100 sur laquelle on reviendra plus loin 

35 dans le cadre d'une analyse dynamique des trames. 

Dds que le second champ d'adresse destinataire est observe 
(et done reconstitu^) par la partie montante 6-l M du module 
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sonde , elle est transmise au sous-module de surveillance 15-1 M 
en vue de son analyse dans une 6tape 110. 

Cette analyse a pour but de verifier si l'adresse du destina- 
5 taire de la trame correspond & l'un des ports 3-i g6r6s par 
le coramutateur. A cet effet, le module de surveillance 15 
comporte une m6moire 18 dans laquelle se trouve stockee une 
table de correspondance entre chaque port 3-i du commutateur 
et les adresses destinataire autoris6es pour ce port. Par une 
10 confrontation entre les informations contenues dans le champ 
et celles_contenues-dans la— table de correspondance -, on peut 
verifier , instantan^ment , la coherence trame-port, c'est k 
dire donn er ou refuser l'autorisation de communiguer avec le ^1 
^por^d^sign^par—l^adresse-des-tinataire. 

15 

La table de correspondance peut Stre commune & tous les sous- 
modules de surveillance 15-i f mais elle peut egalement, comme 
cela est illustr6 sur la figure 2, §tre subdivis^e en 
plusieurs -(i) -parties associees respectivement aux diffgrents 

20 ports. Dans.ce cas, chaque sous-module de surveillance 15-i 
comporte une mSmoire modifiable 18-i, telle qu'une mgmoire 
vive r un ensemble (ou banque) de registres associ€s chacun & 
un port et & contenu individuellement configurable, ou, mieux 
encore, une m^moire de type flash, qui comporte la liste des 

25 trames (messages, cellules) autoris6es pour chacun des ports ^ 
3-j. L'expression "liste de trames" doit §tre comprise dans ^ 
un sens large. Elle inclue pour chaque port, tous les ports 

avec— lesquels— il— peut— 6change3^-des— tr-ames 7 -^ les— di-f-f brents 

types de trames autqris6s, les longueurs de trame selon le 

30 type de flux, etc. 



De preference la memoire modifiable 18 peut Stre acced6e en 
lecture et/ou en ecriture de manifere k permettre la surveil- 
lance de son contenu. 



Si l'adresse est incoherente, le sous-module de surveillance 
15-1 M transmet, dans ce mode de realisation, h 1' unite de 
contrdle 16, via la liaison 17 M , un signal d'alerte indiquant 
une incoherence sur l'adresse du port destinataire. 
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Deux modes de realisation peuvent etre envisages h ce stade. 
Dans un premier mode, h reception du signal d'alerte 1 'unite 
de contrdle 16 va adresser k 1' element de commutation 12-1 un 
signal lui ordonnant de ne pas transferer la trame en cours 
5 de transfert. Cela entraine done un re jet de la trame. 

Dans un second mode, chaque sous-module de surveillance 15-i M 
agit directement sur 1' element de commutation 12-i qui lui 
est associe, sans qu'il soit n€cessaire de passer par 1' unite 

10 de contrdle 16. II comprend pour ce faire une sortie 19 M qui 
est relive h 1 'element de commutation 12-i pour lui deiivrer 
le signal d'alerte destine h d6clencher le re jet de la trame 
en cours de transfert. Neanmoins, 1'unite de contrdle 16 est 
de-preference— avertiey par~chague sous-module de surveillance 

15 15-i ou par chaque element de commutation 12-i, de chaque 
re jet associe & chaque port, de manifere h comptabiliser pour 
chaque port, qu'il soit source ou destinataire, le nombre de 
re jets de trame dont il a fait 1'objet. 



20 La comptabilisation des re jets (ou des signaux d'alerte) est 
applicable aux deux modes precites. L' unite de contrdle 16 
peut ainsi, lorsque le nombre de re jets associes h un port 3- 
i depasse un seuil choisi, par exemple egal & dix, decider 
d' invalided ce port 3-i. A cet effet, 1' unite de contrdle 16 

25 est reliee par une liaison 20 & la couche physique 2, et de 
preference & chacun de ses emetteurs/recepteurs 7-i. 

II est bien evident, que des seuils d' invalidation differents 

peuvent etre envisages pour des ports differents, selon les 

30 besoins, et notamment selon le degre de securite requis en 
chaque port. 

On peut envisager que 1 'unite de contrdle 16 ait la possibi- 
lite de forcer 1'aiguillage d'une trame, alors meme qu'un 
35 sous-module de surveillance 15-i a declenche le rejet de la 
trame dans 1' element de commutation associe 12-i. 

Pour le traitement des trames descendantes , on prevoit, au 

lieu^de— la— liaison— t7^7 — une— lra±s on— 175— en t r e— chaque— s ous^* 



.0^ 
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module de surveillance 15-i D et 1' unite de contrdle 16, pour 
transrnettre le signal d'alerte destine & declencher le re jet 
d'une trame descendante en cours de transfer*:. Bien entendu, 
comme indique precedemment, chaque sous-module de surveil- 
5 lance 15-i D pourrait agir directement sur l'emetteur/recepteur 
7-i qui lui est associe, sans qu'il soit n€cessaire de passer 
par 1 'unite de contrdle 16. II comprend dans ce cas une 
sortie 19 D qui est reliee h l'emetteur/recepteur 7-i pour lui 
deiivrer le signal d'alerte destine a declencher le re jet de 

10 la trame en cours de transfert. Neanmoins, lorsqu'une unite 
de contrdle 16 est prevue, celle-ci est avertie de preferen- 
ce, par chaque sous-module de surveillance 15-i (par exemple 
via la liaison 17) ou par chaque emetteur/recepteur 7-i (par 
exemple par la liaison 2 0 qui est dans ce cas bidirectionnel- 

15 le), de chaque rejet associe h chaque port, de manifere h 
comptabiliser pour chaque port, qu'il soit source ou destina- 
taire, le nombre de rejets de trame dont il a fait l'objet. 



Dans une variante, on peut envisager un mode de rejet de 

20 trame fonctionnant sur une comptabilisation des signaux 
d'alerte. Dans ce cas, 1' unite de controle 16 comptabilise 
pour chaque port 3-i les signaux d'alerte (ou signaux 
d' incoherence) qui sont fournis par les sous-modules de 
surveillance 15-i M et 15-i D , de sorte que seule soit rejetee 

25 une trame incoherente arrivant aprfes N precedent es trames 
incoherentes . N designe ici un nombre seuil qui peut etre 
egal, par exemple, & quatre ou cinq. Bien entendu, chaque 

sous-module de surveillance 15^i pourrait ef fectuer cette. 

operation de comptabilisation de signaux d'alerte pour son 

30 port 3-i, en lieu et place de 1' unite de contrdle 16. 

Si le resultat de 1' analyse effectuee & l'etape 110 n' indique 
pas d ' incoherence , alors on passe & l'etape 120 dans laquelle 
le sous-module de surveillance 15-1 M procdde a 1 'analyse du 
35 champ d'adresse du port source qui vient d'etre observe (et 
done reconstitu6) par le module sonde 6 M sur la partie 
montante 5 M de 1' interface de connexion. 
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Comme pour le champ precedent, il s'agit d'effectuer une 
comparaison entre l'adresse du port source contenue dans la 
trame en cours de transfert et les adresses des ports qui 
sont contenues dans la table de~correspondancer^r8~ (ou 18-1). 

5 

Comme pr6c6demment, si une incoherence est detect6e, un 
signal d'alerte est 6mis par le sous-module de surveillance 
15-1 M en direction de 1' unite de contrdle 16 et/ou de 
l'616ment de commutation 12-1 (par la liaison 19 M ) , selon le 
10 mode de realisation concern^. Cela aura pour effet, soit de 
dSclencher le re jet de la trame en cours de transfert , soit 
d ' incrementer d'une unite la valeur de la variable de 
comptabilisation des signaux d ' alerte ( dans le cas d ' une 
analyse statistique) . 

15 

En 1' absence de detection d' incoherence , on passe & une etape 
130 dans laquelle le sous-module de surveillance 15-1 M procfede 
h 1' analyse du champ de type de trames qui lui est fourni par 
le module sonde 6 M aprfes son observation sur la partie montan- 
20 te 5 M de 1' interface de connexion. 

Cette analyse du type de trame consiste k verifier si le type 
contenu dans le champ observe fait partie d'une liste de 
types qui se trouve memorisee, par exemple dans la memoire 18 
25 (ou 18-i). Bien entendu, dans une variante, au lieu d'une 
liste de types de trames , on peut ne prevoir qu'un unique 
type associe ci chaque port. 

Lorsque le type de trames ne correspond pas & celui ou ceux 
30 stockes, un signal d'alerte peut etre emis par le sous-module 
de surveillance 15-1 M en vue, soit d'un rejet immediate soit 
d'un rejet eventuel (dans le cas statistique). 

En 1' absence d' incoherence, le sous-module de surveillance 
35 15 ~1m va proceder h. une analyse que l'on pourrait qualifier 
de "dynamique" par opposition aux analyses effectuees aux 
etapes 100 h 130 f lesquelles sont plutdt de type "statique". 
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Une trame de donn6es n'est g6n£ralement pas isol§e ci l'int6- 
rieur d'une installation de communication. Elle appartient Si 
un flux de trames qui peut etre specif ique ou non specif ique. 
A titre d'exemple, dans le domaine de 1'avionique, on d6finit 
5 au moins trois niveaux de flux dif f#rents associ^s respecti- 
vement k des informations k trfes haut niveau de priority , 
telles que des informations p6riodiques (critiques) , & haut 
niveau de priority, telles que des informations ap6riodiques 
urgentes, et ci faible niveau de priority , telles que les 
10 informations ap6riodiques non urgentes. 



On peut ainsi autoriser a 1'aide de l'unit6 de controle 16 , 
dans chaque sous-module de surveillance 15-i M et 15-i D , un ou 
_plusi_eurs __f lux _ dif f ^r.ents associ^s des types de trames 
15 dif f^rents . 

Dans une 6tape 140 , on ef fectue une ou plusieurs mesures 
portant sur le flux associS au type de trame d€tect€ lors de 
_. — l-'-6tape_130 Il_pourra s 'agir f — par- exemple # d'une mesure du 

20 taux d' utilisation global par unit6 de temps , ou par cycles 
pr6d6finis, du port consid6r6 (ici le port 3-1). II pourra 
s'agir d'une mesure pour chaque type de flux identifi6 du 
nombre de trames associ6 par unit6 de temps ou par cycles 
pr6d6finis. II pourra encore s'agir d'une mesure pour chaque 

25 type de flux de la longueur de la trame par flux. II pourra 
6galement s'agir d'une mesure de distance temporelle entre 
trames. 



Certaines de ces analyses dynamiques de trames, notamment les 
30 deux derni&res, utilisent le champ de d6but de trame pour 
leurs mesures, lequel est determine Si l'6tape 100. 

La mesure de la distance temporelle s6parant deux debuts de 
trames cons6cutives pourra s'appuyer sur 1' acquisition, lors 
35 de chaque reception d'un d6but de trame, de l'heure courante 
g€r€e par chaque sous-module de surveillance 15-i M et 15-i D 
et la comparaison avec l'heure attendue pour une trame de 
mSme type. 



L ' analyse effectu6e lors de cette 6tape 140 consiste done, 
dans le sens montant, & surveiller la capacity de l'€quipe- 
ment source (ou 6ventuellement d'un autre commutateur aihont) 
Si g6n6rer des trames compatibles- (ou— coh6rentes ) , en termes 
5 de quantity d ' informations et de quality de flux, avec le 
port auquel il est rattach6. Dans le sens descendant, 
1' analyse consiste & surveiller la capacity de l'unit6 de 
traitement 4 (ou couche logique) Si restituer correctement des 
flux d' informations sur un ou plusieurs ports destinataires . 



— De f agon - plus— g6n6rale ,- l-'ensemble des analyses effectu6es 
dans le sens montant, sur chaque port, consiste en un 
- contrdle — d ' admission , — tandis que 1 ' ensemble des analyses 

ef f ectu6es— dans— ; lessens— descendant~tou jours sur chaque port, 

15 consiste en un contrdle de restitution. 

Bien que les champs soient transmis au fur et h mesure de 
leur observation, c 'est-&-dire pendant leur transfert d'une 
couche vers une autre, il est possible d' envisager une 
20 analyse de champs en parall&le, notamment lorsque 1'une des 
analyses requiert un temps d' analyse plus long que celui 
n^cessaire k 1' analyse du champ suivant. 

Par ailleurs, on pourrait 6galement envisager de n' analyser 
25 qu'une partie d'un champ, et non pas le champ complet. Tel 
pourrait etre le cas, notamment, d'une analyse du champ de 
donn^es. On peut en effet envisager de placer dans ce champ 
de donn^es une information specif ique qui, lorsqu'elle 
__possSde une v.aleur_dif f 6rente d'une -(ou plusieurs) valeur(s) 
30 pr6d6termin6e ( s ) , ou bien lorsqu'elle n'est pas pr6sente, 
provoque la g^nSration d'un signal d'alerte. 

N6anmoins, 1' analyse d'une partie du champ de donn^es 
pr€sente quelques risques, dans la mesure oi* 1' analyse doit 
35 etre termin^e avant que la trame en cours de transfert n'ait 
6t§ int6gralement transmise soit k la couche logique lors- 
qu'il s'agit d'une trame montante, soit h la couche physique 
lorsqu'il s'agit d'une trame descendante. 
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Dans ce qui pr^c&de, on a d^crit une analyse multiple. Mais 
il est clair que l'on pourrait effectuer une unique analyse , 
soit statique, c'est-&-dire portant sur le champ adresse du 
port destinataire ou- le champ adresse du port source/ ou sur 
5 le champ du type de trame, soit une analyse purement dynami- 
que, c'est-&-dire portant sur le flux associe au type de la 
trame . 
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En r6sum6, le m6canisme de surveillance mis en oeuvre par le 
dispositif de contrdle selon 1' invention comporte quatre 
6tapes successives, une premiere 6tape d' observation , une 
seconde 6tape de detection, une troisi^me 6tape d' action, et 
une quatri&me 6tape de confinement des erreurs. 

15 Comme cela est illustr6 sur la figure 5 # les trames de 
donn^es qui arrivent sur les ports d'un premier commutateur 
ne sont pas obligatoirement issues d'un 6quipement tel qu'un 
calculateur ou un capteur. En effet, elles peuvent provenir 
de tout type de materiel informatique travaillant selon le 

20 format du commutateur 6quip€ du dispositif selon 1' invention, 
et notamment d'un port destinataire d'un autre commutateur. 
De meme, le port destinataire d'un premier commutateur peut 
etre reli6 par un milieu de transmission au port source d'un 
second commutateur. II est important de noter que l'un des 

25 deux commutateurs peut ne pas etre 6quip6 d'un dispositif 
selon 1' invention. 

Le dispositif selon 1' invention comprend, de preferenc e, une 

partie purement mat6rielle ("hardware"), constitute notamment 
30 du module sonde et de la m£moire de stockage des informations 
sptcifiques aux analyses (telles que la liste des adresses 
autoristes, la liste des types autoris^s, la liste des 
gabarits ou flux autorists), et d'une partie purement 
logicielle ("software"), de preference reprogrammable, pour 
35 le reste. Le dispositif de contrdle selon 1' invention pourra 
done etre fabrique sous la forme, par exemple, d'un ASIC 
couple a une memoire modifiable (vive ou flash), ou d'un ASIC 
avec une banque de registres; un ASIC pouvant assurer la 
3urvei-liance-n d unn Du~plusieurs ports . 
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Grace h 1' invention , il est possible d'effectuer une surveil- 
lance/detection en temps reel qui permet d'agir sur la trame 
en cours (principe de "fault containment"). De plus, la 
perf ormance du conimutatreur ne se trouve~~pas _ degradee car la 
5 surveillance/detection s'effectue en paralieie. Enfin, cette 
invention permet d'obtenir des taux d'erreur non detectee 
tr£s faibles car il existe une decorreiation totale de 
1' implementation du principe (mecanisme de surveillance) 
relativement a l'objet de la surveillance , c'est h. dire entre 
10 le transfert et la commutation des donn€es; en d'autres 
termes, il n'y a pas de lien entre la surveillance et le 
transf ert • 

Ii' invention ne se limite pas aux modes de realisation decrits 
15 precedemment , mais elle embrasse toutes les variantes que 
pourra developper l'homme de l'art dans le cadre des revendi- 
cations ci-aprfes. 

Ainsi, on a decrit des exemples de realisation dans lesquels 
20 chaque port du commutateur est surveilie par le dispositif 
selon 1' invention, Cependant, on peut envisager que seulement 
certains des ports soient sous-surveillance, par exemple 
uniquement les ports d' entree (source) ou uniquement les 
ports de sortie (destinataire) , ou toute combinaison port 
25 d' entr6e /port de sortie. 

L' invention embrasse par ailleurs les commutateurs equip6s 
d'un d is positif selon 1 ' inve ntion , ainsi que les installa- 

tions de communication equipees d'un ou plusieurs commuta- 
30 teurs munis d'un dispositif selon 1' invention. 

Par ailleurs, 1' invention a ete decrite en reference k 
1' analyse de trames au format ETHERNET. Mais, 1' invention 
concerne d'autres types de trames, tels que ceux de type ATM, 
35 ou ceux comprenant plus g6neralement des champs de canaux 
physique(s) et/ou logique(s). Dans ces variantes f le module 
sera done agence pour voir un ou plusieurs de leurs champs 
respectifs et le module de surveillance effectuera sa 
comparaison de preference sur le champ Vi^tual~Path — Identic 
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fier, puis sur le champ virtual Channel Identifier, et sur le 
champ de canal logigue, puis sur le champ de canal physigue, 
respectivement . 



Revendications 



•1. Dispositif de controle pour commutateur num6rique 
multivoies, ledit commutateur comprenant -une interface (5) de 
5 connexion entre des circuits (2,7) de liaison physique avec 
un milieu de transmission (1), d6finissant des ports source 
et/ou destinataire (3), et une unit6 de traitement (4,12) 
assurant la commutation selective de trames de donn^es multi- 
champs entre ces diff^rents ports, 

10 caract€ris6 en ce qu'il comprend un module sonde (6) 

couple s^lectivement & ladite interface de connexion (5), et 
un module de surveillance (15) capable d' analyser le contenu 
d'une partie au moins des trames de donnges vues par le 
module sonde (6), et de g6n6rer un signal d'alerte lorsque la 

15 partie analys6e ne remplit pas une condition choisie. 

2. Dispositif selon la revendication 1, caract6ris6 en ce 
que ledit module de surveillance (15) est agenc6 pour 
analyser le contenu d'au moins une partie d'au moins un champ 

20 de chaque trame vue par le module sonde (6). 

3. Dispositif selon la revendication 2, caract6ris6 en ce 
que ledit module de surveillance (15) est agenc€ pour 
analyser le contenu d'au moins une partie de chaque champ de 

25 chaque trame vue par le module sonde (6). 

4. Dispositif selon l'une des revendications 1 k 3, 
caract6ris6 en ce que ledit module sonde ( 6 ) est agenc€ pour 
voir des trames comportant au moins un champ de canal 

30 logique, un champ de canal physique et un champ de donn6es. 

5. Dispositif selon l'une des revendications 1 & 3, 
caract€ris€ en ce que ledit module sonde (6) est agenc€ pour 
voir des trames comportant au moins un champ de d6but de 

35 trame, un champ d'adresse de port destinataire, un champ 
d'adresse de port source et un champ de donn^es. 

6. Dispositif selon l'une des revendications 1 k 3, 

caract6r-is6-en- ce— que— Led-it—modu-le— sonde— (-6-)— est^agenc€— pour 
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voir des trames comportant au moins un champ appel€ "Virtual 
Path Identifier" , un champ appel6 "Virtual Channel Identi- 
fier" , un champ appel6 "Pay load Type" et un champ de donn6es. 

7. Dispositif selon l'une des revendications 4 h 6, 
caract6ris6 en ce que ledit module de surveillance (15) 
comporte une table de correspondance specif iant pour chaque 
port (3) reli6 aux circuits de liaison (2,7) une liste de 
trames autoris^es comportant au moins les ports (3) avec 
lesquels il peut 6changer lesdites trames , et en ce que ledit 
module de surveillance (15) est agenc6 pour comparer le 
contenu de cette table de correspondance h celui de l'un au 
moins des champs de la trame en cours de trans fert, pour 
g6n£rer ledit signal d'alerte lorsque son ou ses champs 
15 analyses d^signent un port qui ne possSde pas de correspon- 
dance avec le port source ayant §mis la trame, cette corres- 
pondance formant ladite condition choisie. 
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8. Commutateur selon la revendication 7 en combinaison avec 
la revendication 4, caract6ris6 en ce que le(s)dit(s) champs 
de trame analyst (s) est (sont) choisi(s) parmi au moins le 
champ de canal logique et le champ de canal physique. 

9. Commutateur selon la revendication 7 en combinaison avec 
25 la revendication 5, caract6ris6 en ce que le(s)dit(s) champs 

de trame analyses est (sont) choisi(s) parmi au moins le 
champ d'adresse du port destinataire de la trame et le champ 
d'adresse du port sour ce de cette trame, 



10. Commutateur selon la revendication 7 en combinaison avec 
la revendication 6, caract6ris6 en ce que le(s)dit(s) champs 
de trame analyses est (sont) choisi(s) parmi au moins le 
champ Virtual Path Identifier et le champ Virtual Channel 
Identifier. 

11. Commutateur selon l'une des revendications 7 h 10, 
caract6ris6 en ce que ladite table de correspondance comporte 
pour chaque port source ou destinataire au moins une liste 
des adresses destinataire associ6es, une liste des adresses 
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source associees, une liste de types de flux de trames 
autorises sur ledit port, accompagnee des caracteristiques 
temporelles de chacun desdits flux, et une liste des lon- 
gueurs de trames autbrisees a circuler sur ledit port. 

5 

12. Commutateur selon la revendication pr6c6dente, caracte- 
ris6 en ce que ladite table de correspondence est stockee 
dans une memoire modifiable (18) choisie parmi au moins une 
memoire vive, une memoire de type "flash", et un ensemble de 

10 registres associ€s chacun a un port et St contenu individuel- 
lement configurable. 

13. Dispositif selon la revendication 12, caract€ris6 en ce 
que ladite memoire est agencee pour permettre son acces en 

15 6criture et/ou en lecture en vue d'une surveillance. 

14. Dispositif selon 1'une des revendications 7 & 13 en 
combinaison avec la revendication 4, caracteris6 en ce que 
ledit module de surveillance (15) est agence pour effectuer 

20 sa comparaison sur le champ de canal logique, puis sur le 
champ de canal physique. 



15. Dispositif selon l'une des revendications 7 h 13 en 
combinaison avec la revendication 5, caracterise en ce que 
ledit module de surveillance (15) est agence pour effectuer 
sa comparaison sur le champ d'adresse destinataire, puis sur 
le champ d'adresse source. 

16 . Dispositif selon l 'une " des revendications 7 St 13 en 
30 combinaison avec la revendication 6, caracterise en ce que 

ledit module de surveillance (15) est agence pour effectuer 
sa comparaison sur le champ Virtual Path Identifier , puis sur 
le champ Virtual Channel Identifier. 

35 17. Dispositif selon l'une des revendications 4 a 16, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour determiner si le contenu du champ de donnees de 
la trame vue par le module sonde (6) presente un format 
predetermine et pour generer ledit signal d'alerte lorsqu'une 
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partie au moins dudit champ de donnees ne v6rif ie pas ledit 
format, cette verification de format formant ladite condition 
choisie. 

5 18* Dispositif selon l'une des revendications 4 h. 17, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour determiner le type de la trarae vue par le module 
sonde (6) par analyse du contenu de son champ de type, pour 
g6n6rer ledit signal d'alerte lorsque ledit champ de type ne 
10 correspond pas au type predetermine associe au port ay ant 
emis ladite trame, cette verification de type formant ladite 
condition choisie . 

19. Dispositif selon l'une des revendications 4 & 18, 
15 caracterise en ce que ledit module de surveillance (15) est 

agence pour mesurer le debit des trames vues par le module 
sonde ( 6 ) , en f onction de leur type , et pour generer ledit 
signal d'alerte lorsque ledit debit mesure associe h. son type 
ne correspond pas k un debit predetermine, cette verification 
20 de debit formant ladite condition choisie. 

20. Dispositif selon l'une des revendications 4 k 19, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour mesurer pour chaque port source l'6cart temporel 

25 entre les trames de m§me type qu'il a emises, et pour generer 
ledit signal d'alerte lorsque l'ecart mesure associe h son 
type ne correspond pas h un 6cart predetermine, cette 

verification— d'-ecart— ^ formant— ladi^^—cond-i-feion—ehoisi^ 

30 21. Dispositif selon l'une des revendications 4 It 19, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour mesurer pour chaque port destinataire l'ecart 
temporel entre les trames de meme type qu'il a regues, et 
pour gen6rer ledit signal d'alerte lorsque l'ecart mesure 

35 associe & son type ne correspond pas h un ecart predetermine, 
cette verification d' ecart formant ladite condition choisie. 

22. Dispositif selon l'une des revendications 4 ci 21, 
caracterise en ce que ledit module de surveillance (15) est 
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agence pour mesurer la longueur de chaque trame vue par le 
module sonde (6) f et pour g§n6rer ledit signal d'alerte 
lorsque sa longueur mesuree ne correspond pas & une longueur 
predeterminee associ6e St son type, cette _ verification de 
5 longueur formant ladite condition choisie. 

23. Dispositif selon l'une des revendications 4 h 22 , 
caracterise en ce que ledit module de surveillance (15) est 
agence pour comptabiliser en chaque port le nombre de trame 

10 qu'il emet et le nombre de trame qu'il regoit, de maniere & 
estimer pour chaque port un taux d' utilisation, et declencher 
une invalidation de la liaison entre un port et les circuits 
de liaison (2,7) -auxquels -il— est relie lorsque son taux 
^"'utilisation estime~ne correspond pas & un taux~ predetermine 

15 associe au type de trame de ce port. 

24. Dispositif selon l'une des revendications 1 St 23, carac- 
terise en ce que ledit module de surveillance (15) est agence 
pour comptabiliser "chaque generation de signal d'alerte 

20 associe h chaque port et pour declencher une invalidation de 
la liaison entre un port et les circuits de liaison lorsque 
le nombre de generation de signaux d'alerte comptabilise pour 
ce port est superieur & un seuil. 



25 25. Dispositif selon l'une des revendications 1 & 24, carac- 
terise en ce que ledit module de surveillance (15) est agence 
pour comptabiliser chaque generation de signal d'alerte 
associe ct chaque port et pour declencher un re jet par 1 'unite 
de traitement (4,12) de la trame vue par le module sonde (6), 

30 lorsque le nombre de generations de signaux d'alerte compta- 
bilise pour un port est superieur £i un seuil. 

26. Dispositif selon l'une des revendications 1 & 24, carac- 
terise en ce que ledit module de surveillance (15) est agence 
35 pour comptabiliser chaque generation de signal d'alerte 
associe ct chaque port et pour declencher un re jet de la trame 
vue par le module sonde ( 6 ) , lorsque le nombre de generations 
de signaux d'alerte comptabilise pour un port est superieur 
& un seuil~i 
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27. Dispositif selon l'une des revendications 1 h 24, 
caract€ris€ en ce que ledit module de surveillance (15) est 
agenc6 pour d€clencher, avec ledit signal d'alerte, le re jet 
de la trame vue par le module sonde (6). 

5 

28. Dispositif selon l'une des revendications 1 a 24, 
caract6ris6 en ce que ledit module de surveillance (15) est 
agenc^ pour d^clencher, avec ledit signal d'alerte, le re jet 
par l'unit6 de traitement de la trame vue par le module sonde 

10 (6). 

29. Dispositif selon l'une des revendication 27 et 28, 
caract6ris6 en ce que ledit module de surveillance (15) est 
agenc<§ pour comptabiliser chaque rejet associ€ & chaque port 

15 et pour d^clencher une invalidation de la liaison entre un 
port et les circuits de liaison (2,7) lorsque le nombre de 
re jets comptabilis^ pour ce port est sup^rieur h un seuil. 

30. Commutateur, caract6ris 6 e n ce qui il _comporte un 
20 dispositif selon l'une des revendications pr6c6dentes. 

31. Installation de communication, caract€ris€e en ce 
qu'elle comporte au moins un commutateur 6quip6 d'au moins un 
dispositif selon l'une des revendications 1 i 29, les ports 

25 dudit commutateur 6tant relics & des <§quipements et des 
calculateurs . 

32. Installation selon la revendication 31, caract6ri s6e en 

ce qu'elle est implant6e dans un a^ronef comprenant un calcu- 

30 lateur de gestion de vol et un calculateur de commande de 
vol. 
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